En esta página, se describen los servicios y los resultados que admite la función del motor de riesgos de Security Command Center, así como los límites de compatibilidad a los que está sujeta.
El motor de riesgos genera puntuaciones y rutas de exposición a ataques para lo siguiente:
- Categorías de resultados compatibles en las clases de resultados
VulnerabilityyMisconfigurationPara obtener más información, consulta Categorías de búsqueda compatibles. - Se encontraron
Toxic combinationincumplimientos de la clase. - Instancias de recursos de los tipos de recursos admitidos que designes como de valor alto Para obtener más información, consulta Tipos de recursos admitidos en conjuntos de recursos de alto valor.
En las siguientes secciones, se enumeran los servicios y los hallazgos de Security Command Center que admite Risk Engine.
Solo asistencia a nivel de la organización
Las simulaciones de rutas de ataque que usa Risk Engine para generar las puntuaciones de exposición a ataques y las rutas de ataque requieren que Security Command Center esté activado a nivel de la organización. Las simulaciones de rutas de ataque no son compatibles con las activaciones a nivel del proyecto de Security Command Center.
Para ver las trayectorias de ataque, la vista de la consola de Google Cloud debe estar configurada para tu organización. Si seleccionas una vista de proyecto o carpeta en la consola de Google Cloud, puedes ver las puntuaciones de exposición a ataques, pero no puedes ver las rutas de ataque.
Además, los permisos de IAM que los usuarios necesitan para ver las rutas de ataque deben otorgarse a nivel de la organización. Como mínimo, los usuarios deben tener el permiso securitycenter.attackpaths.list en un rol otorgado a nivel de la organización. El rol predefinido de IAM menos permisivo que contiene este permiso es Security Center Attack Paths Reader (securitycenter.attackPathsViewer).
Para ver otros roles que contienen este permiso, consulta la referencia de roles básicos y predefinidos de IAM.
Límites de tamaño para organizaciones
En el caso de las simulaciones de rutas de ataque, el motor de riesgo limita la cantidad de activos activos y resultados activos que puede contener una organización.
Si una organización supera los límites que se muestran en la siguiente tabla, no se ejecutarán las simulaciones de las rutas de ataque.
| Tipo de límite | Límite de uso |
|---|---|
| Cantidad máxima de resultados activos | 250,000,000 |
| Cantidad máxima de activos activos | 26,000,000 |
Si los recursos, los hallazgos o ambos de tu organización se acercan a estos límites o los superan, comunícate con Atención al cliente de Cloud para solicitar una evaluación de tu organización y un posible aumento.
Servicios de Google Cloud incluidos en las simulaciones de rutas de ataque
Las simulaciones que ejecuta Risk Engine pueden incluir los siguientes servicios de Google Cloud:
- Artifact Registry
- BigQuery
- Funciones de Cloud Run
- Cloud Key Management Service
- Cloud Load Balancing
- Cloud NAT
- Cloud Router
- Cloud SQL
- Cloud Storage
- Compute Engine
- Administración de identidades y accesos
- Google Kubernetes Engine
- Nube privada virtual, incluidas las subredes y la configuración de firewall
- Resource Manager
Límites de los conjuntos de recursos de alto valor
Un conjunto de recursos de alto valor solo admite ciertos tipos de recursos y puede contener solo una cantidad determinada de instancias de recursos.
Límite de instancias para conjuntos de recursos de alto valor
Un conjunto de recursos de alto valor para una plataforma de proveedor de servicios en la nube puede contener hasta 1,000 instancias de recursos.
Tipos de recursos admitidos en conjuntos de recursos de alto valor
Solo puedes agregar los siguientes tipos de recursos de Google Cloud a un conjunto de recursos de alto valor:
aiplatform.googleapis.com/Datasetaiplatform.googleapis.com/Featurestoreaiplatform.googleapis.com/MetadataStoreaiplatform.googleapis.com/Modelaiplatform.googleapis.com/TrainingPipeline
bigquery.googleapis.com/Datasetcloudfunctions.googleapis.com/CloudFunctioncompute.googleapis.com/Instancecontainer.googleapis.com/Clustersqladmin.googleapis.com/Instancestorage.googleapis.com/Bucket
Para obtener una lista de los tipos de recursos compatibles con otros proveedores de servicios en la nube, consulta Compatibilidad con proveedores de servicios en la nube.
Límite de configuración de valores de recursos
Puedes crear hasta 100 configuraciones de valores de recursos por organización en Google Cloud.
Tipos de recursos de Google Cloud compatibles con las clasificaciones de sensibilidad de los datos
Las simulaciones de rutas de ataque pueden establecer automáticamente valores de prioridad basados en las clasificaciones de sensibilidad de los datos del descubrimiento de Sensitive Data Protection solo para los siguientes tipos de recursos de datos:
bigquery.googleapis.com/Datasetsqladmin.googleapis.com/Instancestorage.googleapis.com/Bucket
Categorías de hallazgos compatibles
Las simulaciones de rutas de ataque generan puntuaciones de exposición a ataques y rutas de ataque solo para las categorías de resultados de Security Command Center de los servicios de detección de Security Command Center que se enumeran en esta sección.
Hallazgos de la postura de seguridad de GKE
Las siguientes categorías de resultados de la postura de seguridad de GKE son compatibles con las simulaciones de ruta de ataque:
- Vulnerabilidad del SO del entorno de ejecución de GKE
Hallazgos de la administración de la superficie de ataque de Mandiant
Las siguientes categorías de resultados de Administración de la superficie de ataque de Mandiant son compatibles con las simulaciones de ruta de ataque:
- Vulnerabilidad de software
Resultados del motor de riesgo
La categoría de hallazgo Toxic combination que emite el motor de riesgo admite puntuaciones de exposición a ataques.
Resultados de las estadísticas de estado de seguridad
Los siguientes resultados de las estadísticas del estado de seguridad son compatibles con las simulaciones de las rutas de ataque en Google Cloud:
- Cuenta de servicio de administrador
- Reparación automática inhabilitada
- Actualización automática inhabilitada
- Autorización binaria inhabilitada
- Solo política del bucket inhabilitada
- Clúster con Acceso privado a Google inhabilitado
- Encriptación de secretos de clúster inhabilitada
- Nodos protegidos del clúster inhabilitados
- Claves SSH de todo el proyecto de Compute permitidas
- Inicio seguro de Compute inhabilitado
- Puertos en serie de Compute habilitados
- COS sin usar
- Cuenta de servicio predeterminada usada
- Acceso total a la API
- Redes autorizadas de la instancia principal inhabilitadas
- MFA no aplicada
- Política de red inhabilitada
- Inicio seguro del grupo de nodos inhabilitado
- Puerto Cassandra abierto
- Puerto CiscoSecure WebSM abierto
- Puerto abierto de servicios del directorio
- Puerto DNS abierto
- Abre el puerto de Elasticsearch
- Firewall abierto
- Puerto FTP abierto
- Puerto HTTP abierto
- Puerto LDAP abierto
- Puerto Memcached abierto
- Puerto MongoDB abierto
- Puerto MySQL abierto
- Puerto NetBIOS abierto
- Puerto OracleDB abierto
- Puerto POP3 abierto
- Puerto PostgreSQL abierto
- Puerto RDP abierto
- Puerto Redis abierto
- Puerto SMTP abierto
- Puerto SSH abierto
- Puerto Telnet abierto
- Cuenta con privilegios excesivos
- Permisos con privilegios excesivos
- Usuario de cuenta de servicio con privilegios excesivos
- Roles básicos usados
- Clúster privado inhabilitado
- LCA de bucket público
- Dirección IP pública
- Bucket de registro público
- Canal de versiones inhabilitado
- No se rotó la clave de la cuenta de servicio
- Clave de cuenta de servicio administrada por el usuario
- Workload Identity inhabilitada
Resultados de VM Manager
La categoría de resultados OS Vulnerability que emite VM Manager admite puntuaciones de exposición a ataques.
Compatibilidad con notificaciones de Pub/Sub
Los cambios en las puntuaciones de exposición a ataques no se pueden usar como activador para las notificaciones a Pub/Sub.
Además, los resultados que se envían a Pub/Sub cuando se crean no incluyen una puntuación de exposición al ataque porque se envían antes de que se pueda calcular una puntuación.
Compatibilidad con varias nubes
Security Command Center puede proporcionar puntuaciones de exposición a ataques y visualizaciones de rutas de ataque para los siguientes proveedores de servicios en la nube:
Los detectores de vulnerabilidades y parámetros de configuración incorrectos que admiten las simulaciones de rutas de ataque para otras plataformas de proveedores de servicios en la nube dependen de las detecciones que admiten los servicios de detección de Security Command Center en la plataforma.
La compatibilidad con los detectores difiere para cada proveedor de servicios en la nube.
Asistencia de AWS
Security Command Center puede calcular las puntuaciones de exposición a ataques y las visualizaciones de rutas de ataque para tus recursos en AWS.
Servicios de AWS compatibles con las simulaciones de rutas de ataque
Las simulaciones pueden incluir los siguientes servicios de AWS:
- Identity and Access Management (IAM)
- Servicio de tokens de seguridad (STS)
- Simple Storage Service (S3)
- Firewall de aplicaciones web (WAFv2)
- Elastic Compute Cloud (EC2)
- Elastic Load Balancing (ELB y ELBv2)
- Servicio de base de datos relacional (RDS)
- Servicio de administración de claves (KMS)
- Elastic Container Registry (ECR)
- Elastic Container Service (ECS)
- ApiGateway y ApiGatewayv2
- Organizaciones (servicio de administración de cuentas)
- CloudFront
- AutoScaling
- Lambda
- DynamoDB
Tipos de recursos de AWS admitidos en conjuntos de recursos de alto valor
Solo puedes agregar los siguientes tipos de recursos de AWS a un conjunto de recursos de alto valor:
- Tabla de DynamoDB
- Instancia de EC2
- Función Lambda
- RDS DBCluster
- RDS DBInstance
- Bucket de S3
Tipos de recursos de AWS compatibles con clasificaciones de sensibilidad de los datos
Las simulaciones de rutas de ataque pueden establecer automáticamente valores de prioridad basados en las clasificaciones de sensibilidad de los datos del descubrimiento de Sensitive Data Protection solo para los siguientes tipos de recursos de datos de AWS:
- Bucket de Amazon S3
Cómo obtener asistencia en las estadísticas de estado de seguridad para AWS
Las simulaciones de rutas de ataque proporcionan puntuaciones y visualizaciones de rutas de ataque para las siguientes categorías de resultados de Security Health Analytics:
- Claves de acceso rotadas con 90 días de menos
- Credenciales sin usar durante más de 45 días inhabilitadas
- La VPC del grupo de seguridad predeterminado restringe todo el tráfico
- Instancia de EC2 sin IP pública
- Política de contraseñas de IAM
- La política de contraseñas de IAM evita la reutilización de contraseñas
- La política de contraseñas de IAM requiere una longitud mínima de 14 caracteres
- Verificación de credenciales sin utilizar de usuarios de IAM
- Los usuarios de IAM reciben grupos de permisos
- La CMK de KMS no está programada para su eliminación
- Eliminación de MFA habilitada en los buckets de S3
- Cuenta de usuario raíz con MFA habilitada
- Autenticación de varios factores MFA habilitada para todas las consolas de usuarios de IAM
- No existe una clave de acceso de la cuenta de usuario raíz
- Ausencia de un grupo de seguridad que permita entradas de 0 para la administración del servidor remoto
- Ausencia de un grupo de seguridad que permita entradas de 0 0 0 0 para la administración del servidor remoto
- Una clave de acceso activa disponible para cada usuario de IAM
- Acceso público otorgado a una instancia de RDS
- Puertos comunes restringidos
- SSH restringido
- Rotación habilitada para los CMK creados por el cliente
- Rotación habilitada para los CMK simétricos creados por el cliente
- Buckets de S3 configurados con el bucket de acceso público
- Política de bucket de S3 configurada para rechazar solicitudes HTTP
- KMS de encriptación predeterminada de S3
- Grupo de seguridad predeterminado de la VPC cerrado
Resultados de la evaluación de vulnerabilidades de EC2
La categoría de resultados Software vulnerability que emite la Evaluación de vulnerabilidades de EC2 admite puntuaciones de exposición a ataques.
Compatibilidad con la interfaz de usuario
Puedes trabajar con las puntuaciones de exposición a ataques en la consola de Google Cloud, la consola de Security Operations o la API de Security Command Center.
Puedes trabajar con las puntuaciones de exposición a ataques y las trayectorias de ataque para casos de combinaciones tóxicas solo en la consola de Security Operations.
Puedes crear configuraciones de valores de recursos solo en la pestaña Simulación de rutas de ataque de la página Configuración de Security Command Center en la consola de Google Cloud.